Les chercheurs en cybers\u00e9curit\u00e9 attirent l’attention sur une vague continue d’attaques li\u00e9es \u00e0 un cluster de menaces suivi sous le nom de Raspberry Robin qui se cache derri\u00e8re un malware Windows dot\u00e9 de capacit\u00e9s de type ver. <\/p>\n
Le d\u00e9crivant comme une menace \u00ab persistante \u00bb et \u00ab propag\u00e9e \u00bb, Cybereason a dit<\/a> il a observ\u00e9 un certain nombre de victimes en Europe.<\/p>\n Les infections impliquent un ver qui se propage sur des p\u00e9riph\u00e9riques USB amovibles contenant un fichier .LNK malveillant et exploite les p\u00e9riph\u00e9riques de stockage en r\u00e9seau (NAS) QNAP compromis pour la commande et le contr\u00f4le. Il a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par des chercheurs de Red Canary en mai 2022.<\/p>\n Nom de code \u00e9galement Ver QNAP<\/a> par Sekoia, le logiciel malveillant exploite un binaire d’installation Windows l\u00e9gitime appel\u00e9 “msiexec.exe” pour t\u00e9l\u00e9charger et ex\u00e9cuter une biblioth\u00e8que partag\u00e9e (DLL) malveillante \u00e0 partir d’un appareil NAS QNAP compromis.<\/p>\n “Pour rendre la d\u00e9tection plus difficile, Raspberry Robin exploite les injections de processus dans trois processus syst\u00e8me Windows l\u00e9gitimes”, a d\u00e9clar\u00e9 le chercheur de Cybereason, Lo\u00efc Castel, dans un article technique, ajoutant qu’il “communique avec le reste de [the] l’infrastructure via les n\u0153uds de sortie TOR.\u00a0\u00bb<\/p>\n La persistance sur la machine compromise est obtenue en apportant des modifications au registre Windows pour charger la charge utile malveillante via le binaire Windows “rundll32.exe” lors de la phase de d\u00e9marrage.<\/p>\n La campagne, qui remonterait \u00e0 septembre 2021, est rest\u00e9e un myst\u00e8re jusqu’\u00e0 pr\u00e9sent, sans aucun indice sur l’origine de l’acteur mena\u00e7ant ou ses objectifs finaux.<\/p>\n La divulgation intervient alors que QNAP a d\u00e9clar\u00e9 qu’il enqu\u00eatait activement sur une nouvelle vague d’infections par ran\u00e7ongiciel Checkmate ciblant ses appareils, ce qui en fait la derni\u00e8re d’une s\u00e9rie d’attaques apr\u00e8s AgeLocker<\/a>eCh0raix et DeadBolt.<\/p>\n “L’enqu\u00eate pr\u00e9liminaire indique que Checkmate attaque via Services aux PME<\/a> expos\u00e9s \u00e0 Internet et utilise une attaque par dictionnaire pour casser les comptes avec des mots de passe faibles \u00bb, la soci\u00e9t\u00e9 c’est not\u00e9<\/a> dans un avis.<\/p>\n “Une fois que l’attaquant s’est connect\u00e9 avec succ\u00e8s \u00e0 un appareil, il chiffre les donn\u00e9es dans les dossiers partag\u00e9s et laisse une demande de ran\u00e7on avec le nom de fichier ”\u00a0!CHECKMATE_DECRYPTION_README” dans chaque dossier.”<\/p>\n Par pr\u00e9caution, la soci\u00e9t\u00e9 ta\u00efwanaise recommande aux clients de ne pas exposer les services SMB \u00e0 Internet, d’am\u00e9liorer la force du mot de passe, d’effectuer des sauvegardes r\u00e9guli\u00e8res et de mettre \u00e0 jour le syst\u00e8me d’exploitation QNAP vers la derni\u00e8re version.<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657309124_824_Des-chercheurs-mettent-en-garde-contre-le-ver-de-Raspberry.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657309124_264_Des-chercheurs-mettent-en-garde-contre-le-ver-de-Raspberry.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n